Thread View: pl.comp.networking
5 messages
5 total messages
Started by ntst
Thu, 16 Feb 2006 12:55
Cisco Pix pozwolenie na dostęp
Author: ntst
Date: Thu, 16 Feb 2006 12:55
Date: Thu, 16 Feb 2006 12:55
23 lines
1389 bytes
1389 bytes
Witam, Mam pytanie. Posiadam skonfigurowanego Pixa 506 z 3 vlanami. vlan1 - inside secudity 100 192.168.1.1/24 vlan2 - inside1 security 80 192.168.2.1/24 vlan2 - inside2 security 70 192.168.3.1/24 Wszystkie vlany działają prawidłowo. Wszystkie sieci mają dostęp do internetu za pomocą adresu IP interfejsu outside. Moje pytaniej jest następujące. Co powiniennem zrobić aby zezwolić na pełen dostęp do hosta 192.168.1.2 z vlanu2 i z vlanu3? Na hoście 192.168.1.2 mam postawiony serwer www i smtp i chciałbym aby mogli z niego korzystać osoby z vlanu2 i 3. Dziękuje za wszelką pomoc.
Re: Cisco Pix pozwolenie na dostęp
Author: Lepton 0
Date: Thu, 16 Feb 2006 18:55
Date: Thu, 16 Feb 2006 18:55
6 lines
1113 bytes
1113 bytes
poniewaz ruch miedzy interfejsem o nizym "poziomie bezpieczenstwa" a interfejsem o wyzszym poziomie jest domyslnie blokowany, musisz strorzyc access liste zezwalajaca na dany ruch i przypisac ja do interfejsu 'inside' pozdrawiam
Re: Cisco Pix pozwolenie na dostęp
Author: ntst
Date: Thu, 16 Feb 2006 22:35
Date: Thu, 16 Feb 2006 22:35
22 lines
1702 bytes
1702 bytes
Lepton 0 napisał(a): > poniewaz ruch miedzy interfejsem o nizym "poziomie bezpieczenstwa" a > interfejsem o wyzszym poziomie jest domyslnie blokowany, musisz strorzyc > access liste zezwalajaca na dany ruch i przypisac ja do interfejsu 'inside' > pozdrawiam Dzięki za odpowiedz. Mam jednak pytanie. Na którejś ze stron przedstawiających sposób konfiguracji Pixa wyczytałem, że aby umożliwić na dostęp do hosta wewnątrz sieci INSIDE o security level większej niż np sieć dmz2 należy zrobić: static(inside,dmz02) 10.0.0.100 10.0.0.100 netmask 255.255.255.255 Czy taka komenda otworzy drogę do hosta 10.0.0.100 będącego w inside z komputerów z innej sieci będących w dmz2? Czy w tym przypadku także trzeba robić access-listy i przypisywać je do interfejsu inside? pozdrawiam
Re: Cisco Pix pozwolenie na dostęp
Author: ntst
Date: Thu, 16 Feb 2006 22:35
Date: Thu, 16 Feb 2006 22:35
22 lines
1696 bytes
1696 bytes
Lepton 0 napisał(a): > poniewaz ruch miedzy interfejsem o nizym "poziomie bezpieczenstwa" a > interfejsem o wyzszym poziomie jest domyslnie blokowany, musisz strorzyc > access liste zezwalajaca na dany ruch i przypisac ja do interfejsu 'inside' > pozdrawiam Dzięki za odpowiedz. Mam jednak pytanie. Na którejś ze stron przedstawiających sposób konfiguracji Pixa wyczytałem, że aby umożliwić na dostęp do hosta wewnątrz sieci INSIDE o security level większej niż np sieć dmz2 należy zrobić: static(inside,dmz02) 10.0.0.100 10.0.0.100 netmask 255.255.255.255 Czy taka komenda otworzy drogę do hosta 10.0.0.100 będącego w inside z komputerów z innej sieci będących w dmz2? Czy w tym przypadku także trzeba robić access-listy i przypisywać je do interfejsu inside? pozdrawiam
Re: Cisco Pix pozwolenie na dostęp
Author: Chomicki
Date: Fri, 17 Feb 2006 09:27
Date: Fri, 17 Feb 2006 09:27
30 lines
2179 bytes
2179 bytes
ntst napisał(a):
>
> Dzięki za odpowiedz. Mam jednak pytanie. Na którejś ze stron
> przedstawiających sposób konfiguracji Pixa wyczytałem, że aby
> umożliwić na dostęp do hosta wewnątrz sieci INSIDE o security level
> większej niż np sieć dmz2 należy zrobić:
>
> static(inside,dmz02) 10.0.0.100 10.0.0.100 netmask 255.255.255.255
>
> Czy taka komenda otworzy drogę do hosta 10.0.0.100 będącego w inside
> z komputerów z innej sieci będących w dmz2? Czy w tym przypadku
> także trzeba robić access-listy i przypisywać je do interfejsu
> inside?
Na PIXach generalnie wskazane jest tworzenie reguł translacji między
jakimikolwiek interfejsami między którymi chcesz puścić ruch.
Czyli żeby umożliwić hostom z jednego VLANu dostęp do hosta z innego musisz:
1. skonfigurować translację (Cisco zaleca dla ruchu z int. o wyższym
poziomie bezpieczeństwa do int. o niższym konfigurację dynamicznej
translacji, odwrotnie statyczną)
2. tak jak napisał Lepton określić jaki ruch chcesz przepuścić (tutaj
pamiętaj że ICMP w pix-ach musi być konfigurowane oddzielnie i jest
bezstanowe, czyli musisz explicite zezwolić na ruch w obie strony).
Pozdr
--
Piotr Chomczyk
"Chomicki"
piotrcho@NIE_DLA_SPAMU.wp.pl
Thread Navigation
This is a paginated view of messages in the thread with full content displayed inline.
Messages are displayed in chronological order, with the original post highlighted in green.
Use pagination controls to navigate through all messages in large threads.
Back to All Threads